Mathspace-Datenleck trifft 1,08 Millionen Menschen – Passwörter blieben außen vor
Der Mathematik-Lernanbieter Mathspace hat am 3. September 2026 einen unbefugten Zugriff auf sein internes Berichtssystem und den Abfluss personenbezogener Daten bestätigt. Betroffen sind 1.079.819 Schüler, Eltern oder Erziehungsberechtigte, Lehrkräfte und Beschäftigte in Australien und Neuseeland; ABC News bestätigt Umfang und Regionen.
Die am 8. September aktualisierte Vorfallmitteilung nennt Namen, E-Mail-Adressen und weitere Kontometadaten als exponiert. Passwörter, Passwort-Hashes, SSO-Tokens und andere Authentifizierungsdaten gehörten nach dem abgeschlossenen Abgleich des Datenumfangs nicht zum Export. Damit ist eine unmittelbare Kontoübernahme mit erbeuteten Mathspace-Zugangsdaten nicht belegt; die bekannten Angaben können jedoch personalisierte Phishing-Nachrichten glaubwürdiger machen.
Welche Daten abgeflossen sind – und welche nicht
Die aktualisierte Mitteilung von Mathspace führt interne Benutzer-IDs, Benutzernamen, Vor- und Nachnamen, E-Mail-Adressen, Land, Zeitzone, Kontotyp und den Status der E-Mail-Bestätigung auf. Hinzu kommen das Beitrittsdatum sowie Zeitpunkte der letzten Anmeldung und Aktivität. Nicht jedes Feld war für jede betroffene Person vorhanden.
- Exponiert: Identitäts- und Kontaktdaten sowie Metadaten zu Kontoart, Registrierung und Nutzung.
- Nicht exponiert: Passwort-Hashes, Authentifizierungs- und SSO-Tokens, API-Zugangsdaten, Lernaktivitäten, Ergebnisse, akademische Unterlagen und Bewertungsdaten.
- Betroffene Regionen: ausschließlich Australien und Neuseeland nach dem veröffentlichten Untersuchungsstand.
Die exportierten Datensätze enthielten keine direkte Zuordnung einzelner Konten zu Schulen. Eine E-Mail-Adresse mit eindeutig erkennbarer Schuldomain kann eine solche Verbindung dennoch indirekt verraten. Auch ehemalige oder inaktive Nutzer können betroffen sein, wenn ihre Angaben weiterhin in der Berichtsdatenbank gespeichert waren.
Wie das verspätete Metabase-Update zum Risiko wurde
Angriffspunkt war nicht die eigentliche Lernplattform, sondern eine selbst betriebene Installation der Analysesoftware Metabase für interne Berichte. Eine bekannte Schwachstelle erlaubte Administratorzugriff ohne reguläre Anmeldung. Metabase veröffentlichte am 6. August eine kritische Warnung und bereinigte Versionen; der interne Benachrichtigungsprozess von Mathspace erkannte und eskalierte den Hinweis nicht rechtzeitig.
Mathspace aktualisierte seine Installation erst am 29. August, nachdem eine spätere Mitteilung aufgefallen war. Die beim Update empfohlenen Prüfungen auf eine mögliche Kompromittierung wurden ebenfalls nicht vollständig abgeschlossen. Erst die anschließende Auswertung älterer Zugriffsprotokolle offenbarte den Einbruch.
Die Rekonstruktion von SecurityWeek ordnet den ersten festgestellten unbefugten Zugriff dem 10. August zu; am 27. August wurden Informationen aus der australischen Berichtsdatenbank heruntergeladen, bevor Mathspace den Vorfall am 3. September bestätigte. Nach der Entdeckung nahm das Unternehmen Metabase vom Netz, widerrief dessen API-Schlüssel, deaktivierte zugehörige Datenbankkonten und änderte die Passwörter der verwendeten Cloud-SQL-Datenbanken.
Warum das Phishing-Risiko bestehen bleibt
Dass keine Passwörter und SSO-Tokens abgeflossen sind, beseitigt das Folgerisiko nicht. Namen, E-Mail-Adressen, Benutzernamen, Rollen und Aktivitätsdaten liefern Anknüpfungspunkte für Nachrichten, die wie eine Mitteilung von Mathspace, einer Schule oder einer anderen bekannten Organisation wirken.
Ein plausibler Täuschungsversuch könnte den echten Sicherheitsvorfall erwähnen, den Empfänger mit Namen ansprechen und anschließend zu einer angeblich notwendigen Anmeldung oder Kontoprüfung auffordern. Eine erkennbare Schuldomain kann die Nachricht zusätzlich glaubwürdig erscheinen lassen, obwohl der Export selbst keine Schulzuordnung enthielt.
Bis zur Aktualisierung vom 8. September lagen Mathspace keine Hinweise vor, dass die Daten veröffentlicht, verkauft, weitergegeben oder bereits missbraucht worden waren. Diese Aussage beschreibt nur den damaligen Ermittlungsstand. Die Identität der Angreifer war weiterhin unbekannt.
Was Familien und Schulen jetzt prüfen sollten
Eltern, Lernende und Lehrkräfte sollten unerwartete Nachrichten über den Vorfall über einen zweiten Kanal verifizieren. Statt einen enthaltenen Link zu öffnen, lässt sich die Mathspace-Website direkt aufrufen oder eine neue Nachricht an [email protected] verfassen. Passwörter und Bestätigungscodes sollten niemals als Antwort auf eine unaufgeforderte Mitteilung übermittelt werden.
Mathspace verlangt wegen dieses Vorfalls keinen allgemeinen Passwortwechsel. Wer dasselbe Kennwort bei weiteren Diensten verwendet, sollte diese Mehrfachverwendung dennoch beenden und für jedes Konto ein eigenes Passwort setzen. Unerwartete Zurücksetzungs-E-Mails, unbekannte Anmeldungen oder geänderte Kontodaten sind Gründe, das betreffende Passwort zu wechseln und den Anbieter zu kontaktieren.
Schuladministrationen können bei Mathspace erfragen, wie viele Schüler, Beschäftigte sowie Eltern oder Erziehungsberechtigte ihrer Einrichtung betroffen sind, und Einzelheiten zu den zugehörigen Datensätzen anfordern. Gegenüber Familien sollte die Kommunikation klar zwischen abgeflossenen Kontakt- und Kontometadaten und den nicht exponierten Zugangsdaten unterscheiden.
Für Menschen in Deutschland, Österreich und der deutschsprachigen Schweiz ergibt sich aus der veröffentlichten Abgrenzung keine allgemeine Betroffenheit. Relevant bleibt der Vorfall für Personen, die aktuell oder früher ein Mathspace-Konto in Australien oder Neuseeland nutzten und inzwischen im deutschsprachigen Raum leben.
Benachrichtigungen laufen, die Aufarbeitung dauert an
Mathspace begann am 4. September mit Mitteilungen an Schulkontakte und am 6. September mit direkten Benachrichtigungen betroffener Personen. Ebenfalls am 4. September wurden Datenschutz- und Cybersicherheitsbehörden in Australien und Neuseeland sowie australische Bildungsbehörden informiert.
Der veröffentlichte Untersuchungsstand grenzt Personenzahl, Regionen und Datenkategorien inzwischen konkret ab. Offen bleiben ein angekündigter Nachbericht für Schulen, die vollständige Umsetzung der Änderungen am Warnungs- und Patchprozess und mögliche spätere Erkenntnisse über einen Missbrauch der Daten. Das betroffene Berichtssystem blieb laut Aktualisierung vom 8. September offline, während Wiederherstellungs- und Kontrollarbeiten fortgesetzt wurden.
Lesen Sie auch:
Newsletter abonnieren
Erhalten Sie die neuesten Nachrichten zu Web3, KI und Krypto direkt in Ihren Posteingang.